 
DIVISION DE CAEN
 A Caen, le 10 février 2020 X003 ou XX 
N/Réf. : CODEP-CAE-2020-012045 Monsieur le Directeur du CNPE de Penly BP 854 76 370 NEUVILLE-LES-DIEPPE
OBJET : Contrôle des installations nucléaires de base CNPE de Penly - INB n° 136 et 140 Inspection n° INSSN-CAE-2020-0186 du 21 janvier 2020 Inspection réactive à la suite d'un évènement Réf. : [1] Code de l'environnement, notamment son chapitre VI du titre IX du livre V 
[2] Arrêté du 7 février 2012 fixant les règles générales relatives aux installations nucléaires de base Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base en référence [1], une inspection inopinée a eu lieu le 21 janvier 2020 au CNPE de Penly à la suite de la déclaration d'un évènement significatif pour la sûreté relatif à des composants électriques défectueux. 

J'ai l'honneur de vous communiquer, ci-dessous, la synthèse de l'inspection ainsi que les principales demandes et observations qui en résultent. 

## Synthèse De L'Inspection

L'inspection réactive menée le 21 janvier 2020 au sein du CNPE de Penly faisait suite à la déclaration d'un événement significatif le 18 décembre 2019 relatif à des composants électriques défectueux rendant indisponibles des systèmes de secours du réacteur n° 2. L'objectif de cette inspection était de comprendre et analyser l'enchainement d'actions et/ou de décisions ayant conduit à l'événement significatif. Les inspecteurs ont pu constater que l'exploitant n'avait pas encore initié l'analyse des causes organisationnelles de l'évènement ainsi que la recherche d'actions correctives et préventives. L'examen par sondage mené par les inspecteurs montre que l'organisation mise en place par la centrale nucléaire de Penly lors de la survenue de l'évènement a permis de gérer la situation dégradée. En revanche, les causes de l'évènement révèlent une préparation défaillante et un manque de rigueur dans l'élaboration des analyses de risque des interventions et dans la gestion du traitement des écarts sur des équipements importants pour la protection des intérêts. De plus, les inspecteurs considèrent que la surveillance du prestataire exercée par EDF jusqu'à l'événement et dans le cadre des remplacements des composants défectueux n'était pas adaptée aux enjeux. 

## Eléments De Compréhension De L'Événement :

Dans les centrales nucléaires, les matériels assurant la sûreté de chaque réacteur sont alimentés en électricité par l'intermédiaire de deux tableaux électriques redondants (voies A et B) de 6,6 kV. Ils alimentent en particulier des moteurs actionnant des vannes et des pompes de systèmes de sauvegarde et des tableaux de contrôle-commande du réacteur. Dans le cadre de l'arrêt du réacteur n° 2 en 2019, EDF a procédé au remplacement de contacts d'insertion de contacteurs de ces tableaux électriques. Les travaux ont eu lieu simultanément sur les voies A et B, car d'une part ceux-ci n'avaient pas pu être réalisés sur la voie A lors d'un arrêt précédent et d'autre part le délai imparti pour la finalisation des travaux sur les deux voies arrivait à expiration. La stratégie de maintenance est pourtant normalement définie de façon à assurer la maintenance de chaque voie électrique redondante lors d'arrêts différents du réacteur. Lors de l'arrêt, à la suite de ce remplacement, quatre pompes n'ont pas démarré : ASG 022 PO, RCV 172 PO, RRI 022 et 023 PO. L'analyse de ces défaillances a mis en évidence que vingt-huit contacts d'insertion remplacés sur ces tableaux électriques et appartenant à un même lot de fabrication se sont avérés potentiellement défectueux, ce qui a conduit EDF à considérer indisponibles les pompes des systèmes de sauvegarde et de refroidissement du réacteur concernées par l'anomalie et alimentées par ces tableaux électriques. L'expertise des contacts d'insertion défaillants par le fournisseur a fait apparaître une absence de jeu fonctionnel entre la tige du contact d'insertion et son socle provoquant ou susceptible de provoquer son blocage dans une position intermédiaire. Le CNPE de Penly a achevé le remplacement des 28 contacts d'insertion concernés du réacteur n° 2 par des pièces conformes avant le redémarrage du réacteur. 

## A Demandes D'Actions Correctives A.1 Analyse De Risque

Un risque de défaut de mode commun apparaît lors de la réalisation concomitante d'interventions sur des matériels identiques ayant la même fonction de sûreté. Face à ce risque, des parades spécifiques doivent être mises en place afin d'éviter toute non qualité d'intervention pouvant affecter l'ensemble des matériels. Les inspecteurs ont contrôlé les dispositions prises par l'exploitant pour analyser les risques liés aux activités de remplacements des contacts d'insertion. Ils ont constaté un manque de rigueur sur la prise en compte du risque de défaut de mode commun dans le cadre des analyses de risque. Interrogés à ce sujet, vos représentants ont indiqué que ce risque n'avait pas été identifié en amont de l'intervention et que seule l'expérience de l'entreprise prestataire a permis de mettre en place une alternance des équipes pour parer ce risque. Néanmoins, le même lot de pièces de rechange a été utilisé sur l'ensemble des matériels importants pour la sûreté. Vos représentants ont également indiqué qu'une analyse de risque globale était réalisée quelques mois avant l'arrêt mais que cette dernière n'était pas actualisée au cours de l'arrêt ou à la suite de l'introduction tardive d'activités comme ce fut le cas pour les activités de remplacements des contacts d'insertion sur la voie A. 

Je vous demande de définir précisément dans le cadre de vos processus le risque de défaut de mode commun et les exigences qui lui sont associées. Vous prendrez des actions adaptées lors des préparations des activités et lors d'éventuels contrôles pour que le risque précité et ses parades soient parfaitement identifiés. De plus, l'examen des analyses de risque révèle plusieurs écarts qui ont été reproduits sur les 28 dossiers de maintenance relatifs aux contacteurs durant l'arrêt du réacteur n° 2. Tout d'abord, concernant les conditions d'intervention la case « indifférent » a été systématiquement cochée alors que pour certains tableaux l'activité doit être spécifiquement réalisée dans l'état réacteur complétement déchargé « RCD ». De plus, une absence de requalification est également indiquée alors qu'elle est indispensable afin de vérifier le bon fonctionnement de la partie mobile du contacteur. Enfin, les inspecteurs ont constaté que les dossiers de remplacement des contacts d'insertion défaillants ne comportaient pas d'analyse de risque. Les inspecteurs considèrent, en application du référentiel EDF, que les analyses de risques auraient dû être réalisées et adaptées au contexte spécifique des interventions avec un risque de mode commun important. 

## Je Vous Demande De :

- revoir l'organisation mise en place pour les analyses de risques des activités de maintenance afin de la rendre plus robuste ; 
- modifier votre référentiel local (si nécessaire) ainsi que vos pratiques conformément au référentiel national EDF qui impose l'établissement d'une analyse de risque préalablement à chaque intervention. 

## A.2 Identification Des Activités Sensibles

La démarche de maîtrise de la qualité de maintenance et d'exploitation (MQME) mise en place sur le site de Penly a « pour objectif de garantir que l'intervenant est informé qu'il va réaliser une activité sensible et qu'il connait et sait mettre en œuvre les parades prévues sur les phases les plus sensibles de l'activité ». Les activités doivent être classées en fonction de leur complexité et de l'impact qu'elles peuvent avoir en cas de non-qualité. Les échanges menés avec vos représentants ont permis aux inspecteurs de constater que le classement des activités était souvent défini en fonction de leur durée et non pas de leur impact potentiel sur la sûreté. L'activité ponctuelle de remplacement des contacts d'insertion à l'origine de l'événement significatif pour la sûreté n'était pas considérée comme sensible par vos services. Les inspecteurs estiment que des interventions programmées simultanément sur les deux voies d'un système redondant et sur plusieurs systèmes de sureté, méritent une surveillance particulière. De manière générale, toute activité dont la réalisation présente un risque de mode commun mérite que l'on s'interroge sur son caractère sensible vis-à-vis de la sûreté. Les inspecteurs considèrent que la démarche MQME n'est pas correctement appliquée et que le classement des activités au regard de cette démarche doit systématiquement tenir compte de l'enjeu sûreté associé. Je vous demande de réaliser une revue de toutes les activités non-sensibles afin de vous assurer que les critères de classement de celles-ci sont bien définis en fonction de leur impact potentiel sur la sûreté. Vous me préciserez si vous élargissez les critères d'identification d'une activité sensible à la présence d'un risque de mode commun. 

## A.3 Rigueur De Renseignement De La Documentation De Maintenance

L'article 2.5.2 de l'arrêté en référence [2] prescrit que « les activités importantes pour la protection sont réalisées selon des modalités et avec des moyens permettant de satisfaire a priori les exigences définies pour ces activités et pour les éléments importants pour la protection concernés et de s'en assurer a posteriori » Lors de l'inspection, il est apparu que les dossiers examinés, concernant des activités importantes pour la protection, n'étaient pas renseignés avec suffisamment de rigueur rendant ainsi compliquée, voire impossible, la vérification a posteriori du respect des exigences définies pour ces activités. Ainsi les écarts suivants ont été relevés dans les dossiers d'intervention relatifs à la maintenance des contacteurs : 
- La procédure relative à la vérification du lot de pièce de rechange avec 2 côtes en écart demande de justifier que cet écart est compensé par le réglage initial du contact lors de son assemblage dans le produit. Or aucune justification et analyse de ce point n'est tracée dans les gammes. 

- Certaines références de pièces de rechange n'ont pas été relevées dans les gammes d'activités utilisées. Cet écart de traçabilité a par ailleurs retardé l'indentification des lots défectueux. 

- Concernant les essais de fonctionnement, et notamment les mesures des temps de manœuvre les inspecteurs ont relevé que les valeurs mesurées étaient généralement hors tolérance et aucune justification n'a été apportée par vos représentants. 

- Lors du réglage du contact d'insertion, la procédure demande « d'insérer une cale de 10 mm et de ne pas établir le contact » puis d'insérer une cale de 10,4 mm et d'établir le contact. Dans certaines gammes une mention manuscrite indique que le contact doit être établi pour la cale de 10 mm et pas pour celle de 10,4 mm sans autre justification. Vos représentants ont indiqué que cette mention manuscrite aurait dû être présente sur l'ensemble des gammes mais ils n'ont pas pu justifier la validité du réglage. 

## Je Vous Demande De Renforcer La Rigueur Du Renseignement Des Dossiers De Maintenance En Conformité Avec Les Documents Applicatifs De Votre Référentiel. Vous Veillerez Notamment À Justifier L'Ensemble Des Écarts Relevés.

Les différentes étapes d'une activité sont suivies et tracées au travers d'un document de suivi d'intervention (DSI) qui se réfère régulièrement à des modes opératoires et procès-verbaux permettant la validation officielle de points clés de l'activité globale. L'examen des différents DSI pour les activités de maintenance des contacteurs au cours de l'arrêt révèlent de nombreuses incohérences : 
- aucun point d'arrêt n'est spécifié pour le risque d'introduction d'un corps étrangers (FME) bien que ce dernier soit identifié dans l'analyse de risque et que des parades spécifiques soient décrites. 

- le contrôle technique est prévu uniquement en fin d'intervention. La conformité du montage n'est pas contrôlée. 

- la gamme opératoire générique EDF utilisée pour cette maintenance et référencée D130016003971 n'est pas listée dans le DSI. 

Enfin, les inspecteurs ont également examiné le dossier de remplacement du contacteur défaillant 2 RRI 023 PO qui a été envoyé en expertise au laboratoire d'analyse. Ce dossier ne comportait pas de DSI, ni d'analyse de risque et la gamme d'activité présente dans ce dossier était vierge. Vos représentants ont indiqué que cette activité avait été réalisée de manière fortuite le week-end et que seul l'ordre de travail dans votre outil informatique prouve le remplacement du contacteur. Je vous demande de tirer le retour d'expérience des nombreux défauts de rigueur documentaires mis en évidence par les inspecteurs en mettant en œuvre un plan d'action permettant de garantir celle-ci conformément aux dispositions de l'article 2.5.2 de l'arrêté en référence [2]. 

Des changements ont été apportés à la gamme d'activité générique EDF à la suite de l'aléa sur les contacteurs afin d'intégrer certains points de la gamme constructeur. Ces modifications interpellent les inspecteurs sur le mode opératoire initial du remplacement du contact d'insertion. 

## Je Vous Demande :

- d'analyser l'impact de la non prise en compte de certaines interventions préconisées dans la gamme constructeur pour la maintenance des contacteurs ; 
- de mettre en œuvre les dispositions nécessaires permettant de vous assurer de la conformité et de l'exhaustivité, au regard des exigences de qualification, des documents opérationnels utilisés par vos prestataires pour la maintenance de vos équipements. 

## A.4 Caractérisation Et Traitement Des Écarts

Les articles 2.6.1 et 2.6.2 de l'arrêté [2] disposent respectivement que « l'exploitant prend toute disposition pour détecter les écarts relatifs à son installation ou aux opérations de transport interne associées » et que « l'exploitant procède dans les plus brefs délais à l'examen de chaque écart, afin de déterminer : 
- son importance pour la protection des intérêts mentionnés à l'article L. 593-1 du code de l'environnement et, le cas échéant, s'il s'agit d'un événement significatif ; 
- s'il constitue un manquement aux exigences législatives et réglementaires applicables ou à des prescriptions et décisions de l'Autorité de sûreté nucléaire le concernant ; 
- si des mesures conservatoires doivent être immédiatement mises en œuvre ». 

L'article 1.3 de l'arrêté [2] définit par ailleurs un écart comme « le non-respect d'une exigence définie, ou le nonrespect d'une exigence fixée par le système de management intégré de l'exploitant susceptible d'affecter les dispositions mentionnées au deuxième alinéa de l'article L. 593-7 du code de l'environnement ». Enfin, l'article 2.4.1 de l'arrêté [2] mentionne que « le système de management intégré comporte notamment des dispositions permettant à l'exploitant d'identifier et de traiter les écarts ». Pour la gestion des écarts, la doctrine mise en œuvre par EDF consiste à ouvrir des plans d'actions 
(appelés PA-CSTA), à déterminer si les anomalies concernées relèvent ou non d'un écart au titre de l'arrêté INB à définir si nécessaire les actions curatives, préventives et à mesurer l'efficacité de celles-ci. L'examen de la gestion des écarts liés aux contacts d'insertion a fait ressortir les points suivants : 
- Aucun plan d'action n'a été ouvert suite à la première défaillance détectée sur la pompe 2RRI022PO malgré le potentiel non fonctionnement du moteur sur sollicitation et l'impact potentiel sur les exigences définies du matériel. 

- Trois plans d'actions ont été ouverts à la suite du non-démarrage des pompes 2RCV172PO (PA 
n° n°00166597) et 2ASG022PO (PA n°00166960 et n° 00167281). Ces plans d'actions sont systématiquement caractérisés en constat et non en écart. Or, les PA-CSTA identifient non seulement le non-respect des exigences définies mais également la présence de nocivité matérielle et fonctionnelle. Dans ces conditions, les inspecteurs s'interrogent sur les modalités de caractérisation d'une anomalie en écart au titre de l'arrêté [2]. 

- Les PA-CSTA ouverts identifient un problème de vieillissement potentiel, avec un aspect générique, des contacts d'insertion alors que ces derniers ont été remplacés au cours de l'arrêt. 

Cette remarque interroge les inspecteurs sur la qualité de l'analyse des dossiers de maintenance lors de la caractérisation d'un écart. Vos représentants ont indiqué que cette hypothèse erronée avait été envisagée car ils ne savaient pas que les contacts d'insertion avaient été remplacés récemment. Or les activités de maintenance doivent systématiquement faire l'objet d'une traçabilité dans votre système informatique. 

- La définition des mesures d'efficacité dans les PA-CASTA est largement perfectible. 

Je vous demande d'apporter les modifications nécessaires à votre mode de fonctionnement lors du « traitement des écarts » afin de respecter les dispositions des articles 2.4.1, 2.6.1 et 2.6.2 de l'arrêté [2]. Vous m'informerez des dispositions prises en ce sens. 

## A.5 Analyse Des Décisions Prises Lors Des Commissions De Changement D'État De Réacteur

Le bilan gestionnaire relatif au passage de l'état du réacteur en « arrêt normal sur générateur de vapeur » (AN/GV) le 5 décembre 2019 a été examiné. Le document mentionne bien le PA CSTA relatif au contact d'insertion défaillant mais ce dernier n'a pas été analysé car à l'état « solde » et n'a donc pas conduit à reporter le changement d'état. Plus globalement, les inspecteurs notent que les anomalies sur les premiers contacts d'insertion n'ont pas été corrélées. L'accumulation de ces anomalies n'a été découverte que tardivement, après plusieurs changements d'état. Une analyse globale de ces dysfonctionnements aurait dû être menée dans le cadre des commissions de changement d'état de réacteur. Je vous demande de mettre en œuvre les dispositions nécessaires permettant d'analyser de façon exhaustive les écarts apparus de façon récurrente au cours d'un arrêt afin de fiabiliser la prise de décision vis-à-vis de la sûreté du réacteur. 

## A.6 Surveillance Des Activités Sous-Traitées

L'article 2.2.2.I de l'arrêté [2] prévoit que « I. ― L'exploitant exerce sur les intervenants extérieurs une surveillance lui permettant de s'assurer : 
- qu'ils appliquent sa politique mentionnée à l'article 2.3.1 et qui leur a été communiquée en application de l'article 2.3.2 ; 
- que les opérations qu'ils réalisent, ou que les biens ou services qu'ils fournissent, respectent les exigences définies ; 
- qu'ils respectent les dispositions mentionnées à l'article 2.2.1. ». 

L'article 2.2.2 de l'arrêté [2] dispose que la surveillance des intervenants extérieurs « est documentée dans les conditions fixées à l'article 2.5.6 ». L'article 2.5.6 de l'arrêté [2] prévoit que « les activités importantes pour la protection, leurs contrôles techniques, les actions de vérification et d'évaluation font l'objet d'une documentation et d'une traçabilité permettant de démontrer a priori et de vérifier a posteriori le respect des exigences définies » Les inspecteurs ont contrôlé les modalités que vous avez mises en œuvre pour assurer la surveillance des intervenants extérieurs en application de l'arrêté cité en référence [2]. Ils ont noté l'existence d'un programme de surveillance unique pour les activités de maintenance « IAA-RAM et cellules 6,6 kV » couvrant la période du 29/07/2019 au 31/10/2019. Lors de l'examen par sondage de ce programme, les inspecteurs ont relevé plusieurs incohérences qui n'ont pu être expliquées par vos représentants. Ils ont relevé que : 
- le prestataire réalisait l'activité en cas 11 alors que ce dernier agissait en cas 2 ;
 
1 EDF décline ces prescriptions pour deux cas d'interventions : le cas 1 et le cas 2. Une intervention en cas 1 est soumise entièrement à l'organisation qualité du Fournisseur qui assure la maîtrise d'œuvre de réalisation d'une activité de maintenance à partir des exigences d'EDF. Une intervention en cas 2 est soumise simultanément à l'organisation qualité du fournisseur et 
- le chargé de surveillance qui a réalisé les fiches de surveillance du 14 décembre n'est pas identifié dans l'organigramme du programme de surveillance. 

De plus, les inspecteurs ont relevé qu'il n'y avait pas eu de programme de surveillance spécifique établi dans le cadre du remplacement des contacts d'insertion défaillants. Deux fiches de surveillance ont été ajoutées au programme de surveillance global sur la maintenance des cellules 6,6 kV. L'écart dans la gestion du mode commun n'a pas pu être détecté par vos services car les deux fiches de surveillance se limitent à la levée des préalables et à la conformité du panneau de chantier. Par ailleurs, l'absence d'analyse de risque pour les 18 interventions réalisées sur les pompes n'a pas été remarquée lors de l'action de surveillance du 14 décembre. Le dossier de suivi d'intervention montre également des lacunes dans la surveillance puisque des points d'arrêt normalement validés par le chargé de surveillance n'ont pas été signés. 

## Je Vous Demande :

- de renforcer votre organisation de façon à garantir l'effectivité de la surveillance des activités des intervenants extérieurs même en cas d'activités fortuites ; 
- de démontrer que vos programmes de surveillance font l'objet d'actions de surveillance programmées auxquelles sont associées des fiches de suivi qui vous permettent de vous assurer du respect des exigences notifiées aux prestataires et de la maîtrise de la qualité de l'intervention ; 
- de m'indiquer vos objectifs en terme de surveillance des chantiers à activités sensibles et de me transmettre un bilan de la surveillance effectuée au cours de cet arrêt sur les chantiers pour lesquels un risque de mode commun était identifié (nombre de chantiers, nombre de chantiers ayant fait l'objet d'une surveillance, écarts relevés, etc…). 

## A.7 Intégration Du Référentiel

L'article 2.4.1. de l'arrêté [2] précise dans son III que : «Le système de management intégré comporte notamment des dispositions permettant à l'exploitant : 
- d'identifier les éléments et activités importants pour la protection, et leurs exigences définies ;
- de s'assurer du respect des exigences définies. …» 
La déclaration d'évènements significatifs pour la sureté relatifs aux contacts d'insertions défectueux mentionne qu'en application du Programme de Base de Maintenance Préventive (PBMP) référencé PB130076102 indice 5, la stratégie de maintenance, concernant les parties mobiles 6,6 kV des tableaux 2LHA001TB et 2LHB001TB, est définie de façon à assurer une alternance entre voie A et voie B lors des arrêts de type Visite Partielle (VP). Or, la maintenance en voie A a été reportée sur le même arrêt que la maintenance de la voie B sans prendre en compte cette exigence d'alternance imposée par votre programme de maintenance. Aucune dérogation n'a été demandée par le site de Penly pour ne pas appliquer cette exigence. Par ailleurs, après vérification le jour de l'inspection, vos représentants ont constaté que votre programme de maintenance n'imposait pas de réaliser cette maintenance sur un arrêt en particulier et que par conséquent cette maintenance aurait pu être programmée au cours du dernier arrêt pour rechargement en 2018. 

Interrogés sur l'apparition tardive dans le programme d'arrêt de la maintenance sur les parties mobiles 6,6kV des tableaux 2LHA001TB, vos représentants ont indiqué que la demande de travaux n'avait pas été intégrée dans votre nouvel outil informatique « SDIN » en 2017. Je vous demande de veiller à ce que les reports d'intégration fassent l'objet d'une analyse quant à leurs conséquences potentielles, de manière à pouvoir hiérarchiser le traitement de ces reports. 

Je vous demande de vous assurer qu'aucun autre élément de maintenance spécifique à votre site, issu de vos programmes de maintenance locaux et de vos dérogations de maintenance, n'a été omis au moment du passage au SDIN. 

## B Compléments D'Information

Sans objet C Observations Sans objet Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai qui n'excèdera pas deux mois. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement, je vous informe que le présent courrier sera mis en ligne sur le site Internet de l'ASN (www.asn.fr). Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée. 

L'adjoint au chef de division, Signé Vincent FERT 